Personne ne signale les emails suspects : créer le réflexe
Vos équipes suppriment les emails douteux sans rien dire ? Pourquoi ce silence vous coûte cher, et comment bâtir une culture du signalement en 90 jours.
Posez-vous une question simple : la dernière fois qu’un email frauduleux a circulé dans votre entreprise, comment l’avez-vous appris ? Si la réponse est « par hasard », « trop tard » ou « je ne l’ai jamais su », vous avez un problème : vos collaborateurs reçoivent des emails suspects, c’est certain, mais personne ne les signale. Chacun supprime, doute en silence, ou pire, clique et n’ose rien dire.
Ce guide explique pourquoi ce silence est votre principal angle mort, d’où il vient, et comment installer le réflexe de signalement sans aucun outil pour commencer.
À retenir
- Le signalement est votre système d’alerte le plus précoce : lors d’exercices, environ 20 % des destinataires signalent l’email piégé (Verizon DBIR 2024). Un seul signalement rapide suffit à protéger tous les autres.
- Même après avoir cliqué, seuls 11 % des utilisateurs signalent l’email (Verizon DBIR 2024). Ce silence-là coûte le plus cher : il prive l’entreprise de l’information au moment exact où elle peut encore agir.
- En France, une violation de données met en moyenne 213 jours à être identifiée, puis 71 jours à être confinée (IBM 2025, périmètre France ; voir nos statistiques de référence). Le signalement interne est le moyen le plus direct de raccourcir ce délai.
- Les collaborateurs se taisent parce qu’ils ne connaissent pas de canal, qu’ils n’obtiennent jamais de retour et qu’ils craignent d’être jugés. Tout cela se corrige sans budget.
- Pour commencer cette semaine : une adresse unique, une réponse à chaque signalement et un merci public aux premiers signaleurs.
Pourquoi le silence est votre plus grand risque
Une campagne de phishing n’arrive presque jamais dans une seule boîte mail. Le même faux message (fausse facture, fausse notification Microsoft, faux RIB fournisseur) touche plusieurs collaborateurs à quelques minutes d’intervalle. C’est pour cela que le signalement compte autant : la première personne qui signale protège toutes les autres. Un email signalé à 9 h 04 permet de prévenir l’équipe à 9 h 15, de vérifier si quelqu’un a cliqué, et de bloquer l’expéditeur pendant que l’attaque est encore en cours.
Sans ce réflexe, le scénario est tout autre. L’email est supprimé par les uns, ignoré par les autres, et il suffit qu’une seule personne clique pour que l’incident commence, en silence. Les chiffres de référence donnent la mesure du problème : 62 % des violations de données impliquent le facteur humain (Verizon DBIR 2026), et chez les professionnels français, le piratage de compte est devenu la première menace (21 % des demandes d’assistance, souvent consécutif à un hameçonnage, selon Cybermalveillance.gouv.fr 2025). Or une compromission non signalée peut vivre longtemps : en France, il faut en moyenne 213 jours pour identifier une violation de données, puis 71 jours pour la confiner (IBM Cost of a Data Breach 2025).
Le taux de signalement est donc un indicateur souvent négligé. Le taux de clic mesure votre exposition ; le taux de signalement mesure votre capacité de détection. Le second compte même quand tout le reste a échoué : un collaborateur qui a cliqué puis signalé dans les cinq minutes vous donne une chance réelle de contenir l’incident. Les 11 % de « cliqueurs-signaleurs » du DBIR sont donc les personnes les plus utiles de l’exercice.
Pourquoi personne ne signale : les trois causes réelles
Quand les collaborateurs ne signalent rien, la paresse et le désintérêt expliquent rarement ce silence. Trois mécanismes se combinent presque toujours, et un rappel à l’ordre n’en règle aucun.
Il n’y a pas de canal évident
Signaler à qui ? Comment ? Transférer l’email au patron semble excessif, en parler à la machine à café ne sert à rien, et le bouton « courrier indésirable » ne prévient personne. Face à cette friction, le cerveau choisit l’option la moins coûteuse : supprimer. Un doute qui demande plus de dix secondes d’effort pour être partagé ne sera pas partagé.
Signaler ne produit aucun retour
Là où un canal existe, il fonctionne souvent comme un trou noir : l’email part, rien ne revient. Le collaborateur ne saura jamais si son signalement était pertinent ou exagéré. Au deuxième silence, il conclut que cela n’intéresse personne, et il arrête.
Signaler expose au jugement
C’est la cause la plus profonde. Signaler un email légitime, c’est risquer de passer pour paranoïaque ; avouer un clic, c’est risquer de passer pour naïf, voire de s’attirer des ennuis. Dans une culture où l’erreur se paie, le comportement rationnel est le silence. C’est exactement ce que mesure le chiffre des 11 % : la culture sécurité d’une entreprise se lit dans ce que ses collaborateurs osent dire après une erreur.
Ces causes sont organisationnelles. Elles se traitent avec un canal, une promesse de réponse et un ton bienveillant, qui ne coûtent rien.
Ce que vous pouvez mettre en place cette semaine
Ouvrez un canal unique et sans friction
Une adresse dédiée du type alerte@votre-domaine.fr, ou le bouton de signalement natif de votre messagerie (Outlook comme Gmail en proposent un, que votre prestataire peut activer et rediriger). Un seul canal, connu de tous, utilisable en dix secondes depuis un téléphone. Communiquez-le par écrit et affichez la règle qui l’accompagne : au moindre doute, on signale ; on ne se trompe jamais en signalant.
Promettez un retour systématique et tenez parole
Chaque signalement reçoit une réponse dans la journée, même en trois mots : « légitime, tout va bien », « suspect, on vérifie », « malveillant, bien vu, ne cliquez pas ». C’est cette boucle de retour qui maintient le canal vivant. Pour aider le référent à trancher, notre guide pour reconnaître un email frauduleux liste les signaux à vérifier, et notre analyseur d’en-têtes permet d’examiner la provenance réelle d’un message douteux.
Remerciez les premiers signaleurs, publiquement
Le premier collaborateur qui signale prend un risque social : il teste si votre promesse de non-jugement est sincère. S’il est remercié en réunion (avec son accord), les autres suivront. S’il est ignoré, ou si sa fausse alerte fait sourire, le canal est mort. Les fausses alertes se célèbrent au même titre que les vraies : elles prouvent que le réflexe s’installe.
Préparez la suite d’un signalement positif
Un signalement qui révèle un vrai phishing doit déclencher des gestes simples : prévenir les autres destinataires, vérifier si quelqu’un a cliqué, et dérouler les premières actions de notre guide que faire en cas de phishing. Rien de sophistiqué, mais écrit à l’avance plutôt qu’improvisé à chaud.
Les 90 jours : transformer l’essai en réflexe
Un canal qui fonctionne une semaine ne fait pas une culture. Trois mois de constance suffisent à installer le réflexe, à condition de rythmer les choses.
Jours 1 à 15 : le lancement
Canal ouvert, règle communiquée, référent désigné avec une consigne de réponse dans la journée. Comptez ce que vous recevez : ce chiffre initial, souvent zéro, est votre point de départ.
Jours 16 à 45 : le rituel
Instaurez « l’email du mois » : dix minutes en réunion d’équipe autour d’un exemple réel signalé (anonymisé), ce qui l’a trahi, ce qui se serait passé en cas de clic. Ce rituel forme l’équipe, valorise les signaleurs et rappelle l’existence du canal. Intégrez aussi le signalement à l’accueil des nouveaux arrivants, dans votre programme de formation cybersécurité.
Jours 46 à 90 : la mesure
Suivez le nombre de signalements par mois et partagez la tendance avec l’équipe. C’est l’un des indicateurs que nous détaillons dans mesurer l’efficacité de la sensibilisation. Attendez-vous à un paradoxe apparent : plus votre culture progresse, plus les signalements augmentent, parce que vous commencez à voir des attaques qui passaient inaperçues.
À éviter : les primes au signalement (elles encouragent le volume plutôt que la pertinence), les classements individuels et les reproches pour une fausse alerte. Les erreurs qui tuent l’engagement en sensibilisation s’appliquent trait pour trait à la culture du signalement.
Quand un outil devient utile
Au bout de quelques semaines, vous verrez la limite de la mesure manuelle : vous comptez les signalements, mais sans dénominateur. Impossible de savoir si les emails non signalés ont été supprimés avec discernement… ou cliqués en silence.
La simulation de phishing comble ce manque : en envoyant le même email d’entraînement à un groupe connu, elle donne un vrai dénominateur pour suivre qui signale et qui clique. Les 20 % de signalement observés dans les exercices du DBIR 2024 vous donnent un repère de comparaison, tout comme nos benchmarks de taux de clic par secteur.
L’autre limite est la charge du référent. Répondre dans la journée à chaque signalement tient à vingt salariés ; à cent, cela devient un travail à part entière. C’est cette boucle que nophi.sh automatise : le salarié transfère l’email douteux (ou utilise le bouton Signaler de Microsoft 365), reçoit un verdict et ses raisons, en général en une à deux minutes, et vos contacts sécurité reçoivent une alerte avec la même analyse. Les faux emails de vos simulations se signalent de la même façon et sont comptés dans les résultats de la campagne : le réflexe s’entraîne sur les deux.
Les critères honnêtes pour franchir le pas : un effectif qui dépasse la quinzaine de personnes, le besoin de chiffres datés (assurance cyber, questionnaires clients, audit), ou une croissance qui rend le suivi manuel intenable. Si vous êtes une petite équipe et que votre canal manuel vit bien, gardez-le : il fait l’essentiel. Le jour où vous comparez les plateformes, regardez en priorité comment chacune traite le signalement (bouton intégré, mesure du délai, valorisation du signaleur) : notre comparatif des solutions passe ce point en revue.
Questions fréquentes
Quel est un bon taux de signalement des emails suspects ?
Environ 20 % des destinataires signalent l’email lors d’exercices de simulation (Verizon DBIR 2024), un bon cap après quelques mois. Au début, suivez la tendance plutôt que le niveau : passer de zéro à quelques signalements par mois change déjà votre capacité de détection.
Faut-il récompenser financièrement les signalements ?
Non : une prime encourage le volume plutôt que la pertinence. La reconnaissance sociale (un merci nominatif, un décompte d’équipe, la mention des signalements qui ont bloqué une attaque) fonctionne mieux et dure plus longtemps.
Que répondre à un employé qui signale un email finalement légitime ?
Merci. Une fausse alerte prouve que le réflexe s’installe, et son coût est négligeable face à celui d’une attaque non détectée. Si les fausses alertes sont moquées, tous les signalements s’arrêtent.
Qui doit traiter les signalements dans une PME sans service informatique ?
Un référent unique (office manager, DAF, dirigeant ou prestataire) qui accuse réception et donne un verdict simple. Il n’a pas besoin d’être expert ; il doit être connu de tous et répondre à chaque fois.
Le bouton « courrier indésirable » ne suffit-il pas ?
Non : il écarte l’email de votre boîte mais n’alerte personne. Le signalement interne sert à déclencher une vérification et à prévenir les autres destinataires pendant que l’attaque est en cours.
Un employé a cliqué puis a signalé : comment réagir ?
Remerciez-le explicitement : seuls 11 % des utilisateurs ayant cliqué signalent ensuite (Verizon DBIR 2024). Il vous donne une chance de réagir à temps. Traitez l’incident avec notre guide de réponse, puis racontez l’histoire anonymisée en réunion.
Comment mesurer le taux de signalement sans outil ?
Comptez les signalements mensuels sur votre adresse dédiée et suivez la tendance. Pour un taux précis avec un dénominateur connu, il faut des campagnes de simulation envoyées à un groupe identifié.
Prochaine étape : créez l’adresse alerte@ aujourd’hui, désignez le référent qui répondra dans la journée, et annoncez la règle à la prochaine réunion d’équipe. Pour suivre ensuite la progression, reprenez les indicateurs du guide mesurer l’efficacité de la sensibilisation.